Dokumentation lagras i nätverk. Hamnar en mapp fel blir konsekvenserna förödande. Som i fallet med eleverna i Skelleftehamn.
Det här är sådant som inte får hända.
I flera veckor låg känsliga uppgifter om elever på Örjansskolan och Auraskolan i Skelleftehamn ute på kommunens intranät: namn, personnummer, uppgifter om skolform, skola, årskurs, hela utredningar och annan ytterst känslig information. Alla anställda inom skolan ska ha haft tillgång till mappen.
Vi lever i en tid där storebror ser oss. Där vi lämnar allsköns elektroniska spår efter oss. Och gör vi det inte själva – medvetet eller omedvetet – så är det andra som gör det åt oss. Dokumentation lagras. Hamnar en mapp fel kan konsekvenserna bli förödande. Som i fallet med eleverna på Örjansskolan och Auraskolan.
Detta har hänt: X skapade en mapp, placerade den där den inte ska placeras, det vill säga öppet. I tron att mappen var låst fylldes den på med känsliga elevuppgifter av Y och Z. Med andra ord handlar det om den mänskliga faktorn. Som ibland kan vara svår att gardera sig mot. Förr om åren var det ofta ”fel” på datorn, nu är det fel på människan bakom densamma.
Det blandas och ges friskt bland förklaringar och bortförklaringar. Vad som är vad är upp till var och en att bedöma och ta ställning till. Men antingen så har kommunens säkerhetsrutiner inte varit tillräckliga, eller så har de inte följts.
De föräldrar som Norran talat med är upprörda, förfärade och en hel del andra adjektiv. Det har de all anledning att vara. Förvisso har lärare och annan skolpersonal tystnadsplikt. Det innebär att de inte får lämna ut uppgifter som kan skada barn eller vårdnadshavare. Men känslan av att inte veta vem som eventuellt kan ha tagit del av känsliga uppgifter om ens barn är allt annat än trevlig.
Historien hade kunnat sluta här. Vid ett konstaterande att kommunen gjort fel, ack så fel, och en förhoppning om att det inte kommer att upprepas.
Men tyvärr. Den slutar inte här.
Urban Holmberg är rektor på Örjansskolan. Hans agerande är lika klandervärt som kommunens. I flera dagar visste han vad som hade hänt – utan att ta kontakt med berörda föräldrar. I flera dagar visste han vad som hade hänt – utan att anmäla en så kallad personuppgiftsincident till Datainspektionen. Vilket ska göras. Skyndsamt och utan onödigt dröjsmål dessutom.
På Datainspektionens hemsida står det att läsa: ”En personuppgiftsincident är en säkerhetshändelse som har påverkat sekretessen, integriteten eller tillgängligheten till personuppgifter. En personuppgiftsincident har inträffat om personuppgifter har förstörts, oavsiktligt eller olagligt, gått förlorade eller ändrats, eller röjts till någon obehörig.”
Ännu en gång handlar det alltså om den mänskliga faktorn. Rektor Holmberg säger till Norran: ”Jag kände helt enkelt inte till att vi måste göra det” och ”Där har vi brustit, det ska jag erkänna.”
Det borde en rektor göra, känna till vilka skyldigheter hen har gentemot elever, föräldrar och myndigheter. Det hör liksom till en rektors arbetsuppgifter – att känna till. Precis på samma sätt som en ansvarig utgivare har skyldighet att känna till vilka lagar och förordningar som reglerar medias verksamhet. Hur skulle det annars se ut?
Nu måste Skellefteå kommun lägga alla kort som går att lägga på bordet. Föräldrarna behöver få veta vilka uppgifter och hur länge de legat ute på intranätet till allmän beskådan. Dessutom behöver kommunen utreda om någon som inte borde ha tittat i mappen gjort det och skärpa säkerhetsrutinerna.
Det här är varken första eller sista gången som den mänskliga faktorn fallerar. Det är svårt att vara helgarderad mot den typen av handhavandefel. Vad kommunen och skolan däremot kan gardera sig mot är ett rent ut sagt klantigt och oprofessionellt agerande efteråt.